Punkty końcowe powszechnie obejmują stacje robocze i serwery, choć obsługiwane typy urządzeń i głębokość widoczności różnią się według produktu i systemu operacyjnego.
Agent EDR może obserwować aktywność taką jak tworzenie procesów, zmiany plików, logowania, mechanizmy utrwalenia i połączenia sieciowe. Zależnie od polityki i możliwości produktu osoby reagujące mogą izolować hosta, kończyć proces, poddawać plik kwarantannie lub zbierać dowody dochodzeniowe.
Najważniejsze punkty
Główny celZapewnić widoczność na poziomie hosta i reagowanie podczas dochodzeń bezpieczeństwa.
Wartość operacyjnaPomaga rekonstruować łańcuchy ataku, polować na powiązaną aktywność i ograniczać dotknięte maszyny.
Zależność wdrożeniowaAgenci muszą być zainstalowani, zdrowi, poprawnie skonfigurowani, chronieni przed manipulacją i monitorowani przez ludzi lub automatyzację.
Istotne ograniczenieEDR nie widzi każdego urządzenia ani ścieżki ataku i nie zastępuje bezpiecznej konfiguracji, kontroli tożsamości, monitoringu sieci czy kopii zapasowych możliwych do odtworzenia.